区人民医院整体网络解决方案建议书

区人民医院整体网络解决方案建议书区人民医院整体网络解决方案建议书通信技术有限公司2011年3月目录第1章系统需求分析（4）概述（4）总体需求（5）网络建设原则（6）TOC\o"1-5"\h\z网络系统的整体架构（6）医院业务应用分析（6）医院业务划分（6）应用系统分类（7）医院业务系统的需求（8）第2章网络总体设计（10）XXXX区人民医院整体网络设计（11）

方案特性总结(14)电信级的可靠性(14)先进的虚拟化技术应用(14)有线无线一体化(15)网络与安全的深度融合(16)统一管理(18)第3章端点准入防御(EAD)方案(22)概述(22)方案思路(22)方案组成部分(23)EAD应用模式(25)应用模型(26)安全准入应用模型(26)安全准入工作流程(26)功能特点(28)安全状态评估(28)用户行为监控(30)第4章无线解决方案(31)概述(31)客户需求(31)无线组网选择(32)无线网络建设方案(34)整体组网方案(34)覆盖解决方案(37)覆盖效果理论计算(38)第5章管理中心设计(39)集成化管理平台(39)系统安全管理(40)资源管理(42)拓扑管理(43)故障(告警/事件)管理(45)告警深度关联分析与统计(47)性能管理(50)

设备管理组件（53）接入与准入控制（54）第1章系统需求分析概述卫生部于2002/5/28日出台《医院信息系统基本功能规范》:制定了全国医疗信息化建设的统一技术标准，评审开发商的产品和解决方案的依据和标准和医院信息化建设的指导性文件。指出医院信息系统应该包括临床诊疗、药品管理、经济管理、综合管理与统计分析等部分。详细规定了：门诊医生工作站分系统、护士工作站分系统、医学影像分系统、药品管理分系统等的功能规范。对医疗信息系统与医疗保险、社区卫生服务、远程医疗咨询系统的外部接口规定了统一标准。医院信息化包括管理信息化、临床管理信息化、局域医疗卫生服务信息化三个阶段。目前大多数医院停留在医院管理信息化阶段，需要将化验自动化―》信息化；医院的HIS系统包括：医院管理信息系统（MIS）、临床信息系统（CIS）、医学影像和通信系统（PACK）、办公自动化系统（OA）。医院信息化即医院信息系统（HIS）建设将经历三个阶段：医院管理信息化阶段（HMIS）、临床管理信息化阶段（HCIS）、局域医疗卫生服务阶段（GMIS）。

医院信息化系统的结构如下:总体需求XXXX区人民医院网络建设将覆盖整个新综合大楼、老住院部、门诊部等几大主楼。新综合大楼和老住院部的通过万兆光纤连接到门诊大楼网络中心，门诊大楼内部接入交换机通过双链路千兆上行直接接入数据中心核心交换机；本次建设的采用10G光纤主干到中心，1000M到桌面的方式；根据今后XXXX区人民医院的发展需求，目前我们的网络应该具有高带宽、高可靠、高性能、高安全的特性，骨干速率达到万兆。网络关键节点能够冗余热备保障系统连续稳定运行。使新建成的网络能够很好的为上述提到的医疗网络化建设服务。符合国家卫生部对医疗机构实现三步信息化的要求。新建的局域网将为各种应用和服务提供更快的速度、更高的质量和性能，弁为新的信息应用系统提供可靠的网络平台，提高医院的服务质量和经济效益。区人民医院整体网络解决方案建议书1第3页使设计更灵活--层次化设计使得骨干网和分布网之间的包交换形式更具灵活性。很多网络都得益于使用混合方式来构造整个网络架构。在大多数情况下，可在骨干网部分使用专线而在区域网或本地网接入部分使用包交换服务。

使交换机、路由器管理更容易――由于层次化网络结构使网络分层，相对缩小的网络区域使路由器的邻居或对等通信端量减少，因此时路由器的配置变得简单化。3、优化广播和多点广播的流量控制在包交换网络中，减少路由器之间广播信息量的最直接方法就是使用更少数目的路由器组，通过层次化模块设计可以较好地控制网络中的广播。通常在包交换网络中最常见的路由器之间的广播信息流量是路由更新信息，如果在一个区域或一个层次中有太多的路由器，那么就会因为广播的原因而造成网络瓶颈。层次化的网络结构使你可以对区域网向骨干网的广播作出限制。因此，对于XXXX区人民医院网络工程来说，想要建设成为一个全所的、网络性能优良的、具有很强扩展能力和升级能力的大型综合网络，那么在网络的设计中就必须采用层次化的网络设计原则。XXXX区人民医院整体网络设计组网说明在XXXX区人民医院网络整体设计中，均采用层次化、模块化的网络设计结构，弁严格定义各层功能模型，通过逻辑方式设置不同的权限，不同层次关注不同的特性配置。整个网络的结构组成分成三层：接入层、汇聚层、核心层。1）接入层：提供网络的第一级接入功能，完成简单的二、三层交换，安全、Qos和POE功能都位于这一层。对于医院信息网的接入层设备，建议采用千兆二层接入的方式，应该具有线

速交换、智能弹性堆叠技术以及高级QoS策略等功能。2）汇聚层：汇聚交换机采用万兆双链路的方式接入核心交换机，从而提供链路的冗于及数据的负载均衡。汇聚层交换机作为核心交换机与接入交换机的中接点，其作用是承上启下，应具备丰富的业务特性，高带宽、高性能、支持线速转发以及10GE扩展接口。2）核心层：网络的骨干，必须能够提供高速数据交换和路由快速收敛，要求具有较高的可靠性、稳定性和易扩展性等。对于医院信息网核心层，必须提供高性能、高可靠的网络结构，推荐采用高可靠的多设备冗余的星型结构。对于医院信息网核心层设备，应该在提供大容量、高性能L2/L3交换服务基础上，能够进一步融合了硬件IPv6、网络安全、网络业务分析等智能特性，可为医院信息构建融合业务的基础网络平台，进而帮助用户实现IT资源整合的需求。如图示意，XX区人民医院网络系统分为五大区域：分别为上联农村合作医疗、医保中心和龙宝分院的上联区、核心数据服务器区、数据安全管理区、核心数据交换区、接入区。上联区：医院业务网需要和农村合作医院、医保中心及龙宝分院的信息网进行连接，实现数据交换。对于某些业务系统对用户开放，而为了保护数据的安全，需要配置防火墙来防护外部攻击防范，支持内网安全、流量监控、网页过滤、邮件过滤、应用层过滤等功能，能够有效地保证网络的安全。核心数据服务器区：涉及工作秘密的关键数据传和工作中的应用数据和系统本身涉及的敏感数据如密码等，为更好的提高核

心数据服务器的应用和安全，公司设计将服务器直接接入数据中心核心交换机上，数据中心核心交换机提供高带宽、高转发、高交换平台提高服务器的应用，弁且通过在数据中心核心交换机上配置的防火墙板块来为服务器提供安全防护。核心数据交换区：在XXXX区人民医院新建设的局域网结构选择中，本方案建议选用双核心结构，具有以下优点：可靠性高：采用两个核心节点的双连接星型网络结构，使得网络具有可靠性、可用性及安全性，避免了单点失效的隐患。支持流量的负载分担：网络流量可能随着多种业务的发展日益壮大（如语音，视频会议），网络流量的负载分担问题将会成为网络可用性的主要因素，采用双连接的网络结构，使得网络的流量能够比较合理的分布在各条链路上。支持网络的冗余备份：核心节点采用两台高性能的网络设备，使得核心层具有较好的冗余备份能力。同时，两台核心设备之间要采用万兆高速链路互连，提供了核心设备间的高速互连带宽，避免两台设备之间形成传输瓶颈。在信息中心机房，配置二台高性能的超万兆数据中心核心交换机H3CS7506E-S,H3CS7500E系列产品是杭州XX通信技术有限公司，面向融合业务网络的高端多业务路由交换机，该产品基于H3C自主知识产权的ComwareV5操作系统，以IRF2（IntelligentResilientFramework2,第二代智能弹性架构）技术为系统基石的虚拟化软件系统，进一步融合MPLSVPN、IPv6、

网络安全、无线、无源光网络等多种网络业务，提供不间断转发、不间断升级、优雅重启、环网保护等多种高可靠技术，在提高用户生产效率的同时，保证了网络最大正常运行时间，从而降低了客户的总拥有成本（TCO）。H3CS7500E符合“限制电子设备有害物质标准（RoHS）”，是绿色环保的路由交换机。数据中心核心交换机配置我公司最新研制出的防火墙，保障访问数据的安全。弁采用业界最先进的虚拟化技术，将两台物理核心设备虚拟成一台逻辑设备，实现协同工作、统一管理和不间断维护功能，两台数据中心核心交换机采用双万兆链路相连，消除业务流量转发的速率瓶颈。数据安全管理区：配置H3CiMC智能管理中心作为全网的管理平台，配置EAD组件对终端用户进行准入控制.接入区：在本方案设计中，在新综合大楼和老住院部大楼设立汇聚分中心，汇聚节点作用是承上启下，通过双万兆链路上联数据中心核心交换机，下接本楼层的接入交换机。在新综合大楼内接入交换机采用1000M多模上联汇聚交换机，在老住院部大楼内接入交换机采用1000M6类线上联汇聚交换机，所以我公司建议采用H3CS5500-EI增强型万兆三层交换机，H3CS5500-EI系列交换机是H3C公司最新开发的增强型IPv6强三层万兆以太网交换机产品，具备业界盒式交换机最先进的硬件处理能力和最丰富的业务特性。支持最多4个万兆扩展接口，支持IPv4/IPv6硬件双栈及线速转发，使客户能够从容应对即将带来的IPv6时代；除此以外，其出色的安全性，可靠性和多业务支持能力使其成为大型企业网络和园区网的汇聚，中小企业网核

心、以及城域网边缘设备的第一选择。本方案建议所用楼层采用千兆接入交换机来提供终端用户的接入，我公司选用H3CS5120-EI系列交换机，H3CS5120-EI系列交换机是H3C公司自主开发的全千兆三层以太网交换机产品，具备丰富的业务特性，提供IPv6转发功能以及最多4个10GE扩展接口。通过H3C特有的IRF（智能弹性架构）功能，用户能够简化对网络的管理。S5120-EI系列千兆以太网交换机定位为企业网千兆接入，同时还可以用于数据中心服务器群的连接。方案特性总结电信级的可靠性网络系统的可靠性主要由线路质量，设备可靠性，网络协议可靠性等多个方面来保证，在本方案中，信息网的核心层设备均采用双机冗余，且采用了H3c公司最先进的虚拟弹性技术架构，数据中心核心交换机采用无单点故障设计，所有关键部件等采用冗余设计；无源背板避免了机箱出现单点故障；所有单板和电源模块支持热插拔功能；可以在恶劣的环境下长时间稳定运行，达到99.999%的电信级可靠性；支持不间断转发和优雅重启，提供毫秒级的切换时间；支持等价路由，可帮助用户建立多条等值路径，实现流量的负载均衡及冗余备份；支持RRPP快速环网保护协议，提供小于200ms的环网故障保护；支持Smart-Link协议，保证双上行网络拓扑的业务毫秒级快速切换。通过上述技术，核心交换机可以在承载多业务的情况下不间断运行，实现业务的永续；能够在不重启设备的前提下，通过热补丁技术，在线修改软件BUG,增加新的业务特性。核心交换机提供控制补丁单元状

态切换的用户命令，使用户能够方便的加载、激活、去激活、运行或删除补丁单元。通过热补丁技术，降低了设备需要重启的次数，为客户提供更长的网络正常工作时间。核心设备均采用双链路方式，防火墙也采用双板卡冗余，整个网络系统设计在关键区域均避免了单设备、单板卡和单链路故障隐患。先进的虚拟化技术应用在本方案中，医院信息网的核心设备均采用了智能弹性虚拟化技术，就是把多台物理设备互相连接起来，使其虚拟为一台逻辑设备，也就是说，用户可以将这多台设备看成一台单一设备进行管理和使用。虚拟化可以为用户带来以下好处：简化管理虚拟化架构形成之后，可以连接到任何一台设备的任何一个端口就以登录统一的逻辑设备，通过对单台设备的配置达到管理整个智能弹性系统以及系统内所有成员设备的效果，而不用物理连接到每台成员设备上分别对它们进行配置和管理。简化业务虚拟化形成的逻辑设备中运行的各种控制协议也是作为单一设备统一运行的，例如路由协议会作为单一设备统一计算，而随着跨设备链路聚合技术的应用，可以替代原有的生成树协议，这样就可以省去了设备间大量协议报文的交互，简化了网络运行，缩短了网络动荡时的收敛时间。弹性扩展可以按照用户需求实现弹性扩展，保证用户投资。弁且新增的设备加入或离开虚拟化架构时可以实现“热插拔”，不影响其他设备的正常运行。

高可靠虚拟化的高可靠性体现在链路，设备和协议三个方面。成员设备之间物理端口支持聚合功能，虚拟化系统和上、下层设备之间的物理连接也支持聚合功能，这样通过多链路备份提高了链路的可靠性；虚拟化系统由多台成员设备组成，一旦Master设备故障，系统会迅速自动选举新的Master,以保证通过系统的业务不中断，从而实现了设备级的1:N备份；虚拟化系统会有实时的协议热备份功能负责将协议的配置信息备份到其他所有成员设备，从而实现1:N的协议可靠性。高性能对于高端交换机来说，性能和端口密度的提升会受到硬件结构的限制。而虚拟化系统的性能和端口密度是虚拟化内部所有设备性能和端口数量的总和。因此，虚拟化技术能够轻易的将设备的交换能力、用户端口的密度扩大数倍，从而大幅度提高了设备的性能。有线无线一体化本方案中，通过无线控制器、智能管理